Le nuove linee guida sulla videosorveglianza – 1

Provvedimento dell’European Data Protection Board n. 3/2019

E’ passato ormai oltre un anno dall’entrata in vigore del Regolamento Europeo 679/2016 e numerose sono le perplessità per la sua applicazione ai vari ambiti in cui è presente un trattamento di dati personali. Uno dei più interessanti, almeno dal punto di vista scientifico, è il settore della videosorveglianza, che implica una serie di valutazioni anche sulla finalità e necessità del trattamento, che spesso mettono in difficoltà le aziende che devono installare un impianto.

L’aggiornamento del precedente provvedimento dell’Autorità Garante per la protezione dei dati personali, risalente al mese di aprile del 2010, appariva difficile e potenzialmente foriero di ulteriori equivoci sul lecito utilizzo delle immagini acquisite. E’ giunto in soccorso degli operatori del settore il provvedimento n. 3, del mese di luglio 2019, varato dal gruppo di lavoro europeo meglio noto come European Data Protection Board, composto dai rappresentanti delle autorità nazionali per la protezione dei dati e dal Garante europeo. 

Il nuovo provvedimento sulla videosorveglianza, che di fatto mette a riposo ogni precedente interpretazione, perché è il primo ad essere basato sui nuovi principi del Regolamento 679/2016, non è un atto a contenuto normativo ma, come per i provvedimenti generali del Garante Italiano, consiste in una linea guida, un orientamento, che deve necessariamente essere tenuto in considerazione, per l’autorevolezza della fonte da cui proviene, ma che può anche essere motivatamente disatteso. 

La parte introduttiva del provvedimento pone l’attenzione non tanto sull’uso dei sistemi di videosorveglianza tradizionali, che in ogni caso hanno fortemente condizionato l’attuale società dell’informazione, ma soprattutto sull’associazione tra immagini e persone e tra persone e comportamenti, ad opera dei sistemi di identificazione biometrica, basati sul rilevamento dei volti, e dei sistemi assistiti dalla c.d. intelligenza artificiale, che associano a determinati comportamenti le reazioni automatiche dei sistemi informatici

Dato che è stato accertato che gli algoritmi che sovrintendono al funzionamento di tali dispositivi sono tutt’altro che infallibili ed anzi si comportano diversamente anche in base all’età e all’etnia del soggetto inquadrato, i componenti dell’EDPB evidenziano come tali malfunzionamenti o funzionamenti diversi potrebbero accentuare le discriminazioni e i contrasti sociali e sono quindi necessarie adeguate garanzie a tutela degli interessati

A conclusione dell’introduzione, il gruppo di lavoro evidenzia come la videosorveglianza non debba essere considerata la soluzione prioritaria quando sono possibili altre soluzioni. L’uso dei sistemi di videosorveglianza, infatti, dovrebbe essere limitato alle sole situazioni in cui altre soluzioni non sono ipotizzabili e non solo quando rappresentano la scelta più comoda o più economica (fattore che, in seguito alla continua riduzione dei prezzi conseguente alla digitalizzazione, sta diventando il principale motivo di ricorso alle telecamere).

Esso comporta l’immagazzinamento di una notevole quantità di dati personali degli interessati, anche per effetto dell’aumento della risoluzione che permette di rilevare ogni dettaglio, rendendo così più facilmente identificabili e profilabili quanto entrano nel raggio d’azione degli impianti. Per questa ragione gli articoli 35 e 37 del GDPR richiedono la valutazione d’impatto sui diritti e le libertà degli interessati nell’ipotesi di monitoraggio sistematico di aree pubbliche e la nomina di un Responsabile per la protezione dei dati che aumenti la tutela degli interessati.

Contrariamente a quanto in precedenza temerariamente ipotizzato dal Garante Italiano, il gruppo di lavoro dell’EDPB esclude che possa applicarsi il Regolamento Europeo all’ipotesi delle “fake cameras”, ossia delle telecamere finte, poiché, ovviamente, in assenza di qualsiasi trattamento, manca l’elemento essenziale per l’applicazione della norma.  Allo stesso modo non possono essere considerati soggetti al regolamento quei dispositivi che nascono con scopi diversi dal videocontrollo o dalla videoregistrazione, giacché, ovviamente, l’identificazione di chi si trova accidentalmente nel raggio d’azione del dispositivo deve considerarsi solo casuale (come avviene, ad esempio, nell’ipotesi di una telecamera di retromarcia di un’autovettura)

Sottolinea, inoltre, il provvedimento, come non sia parimenti soggetto al GDPR l’utilizzo di sistemi di videosorveglianza o videocontrollo da parte delle autorità preposte alla prevenzione o repressione dei reati e alla tutela dell’ordine pubblico e della pubblica sicurezza, perchè tali ambiti sono sottratti all’applicazione del GDPR e sottoposti, invece, alla Direttiva Europea 680/2016

Dopo tale premessa, prosegue il novero delle esclusioni dall’ambito di applicazione del GDPR con la descrizione dei casi in cui il trattamento è considerato “domestico”.

In tutte le situazioni in cui le riprese riguardano un uso familiare o privato e non sono soggetti a diffusione, ritiene il provvedimento che possa applicarsi il principio di esclusione meglio noto come “household exemption”, esclusione familiare. Tale non è, viceversa, la diffusione tramite Internet delle immagini riprese da una telecamera o la registrazione sistematica di ciò che avviene in uno spazio pubblico. 

Nell’ipotesi di pubblicazione tramite social network, in realtà, il GDPR prevede espressamente l’esclusione dei dati utilizzati per fini domestici, e quindi anche dei filmati ripresi da eventuali telecamere private, ma appare evidente che, in tale ultima ipotesi, si dovrà operare un necessario bilanciamento tra finalità della pubblicazione e potenziale lesivo dei diritti dell’interessato. 

Vengono sottoposti all’attenzione del lettore anche alcuni esempi di “uso domestico o familiare” che non rientrano nelle ipotesi di applicazione del GDPR

L’uso di action cam durante una escursione in bici o la registrazione di un video delle vacanze, ancorchè potenzialmente idonei a riprendere anche altre persone, rientra sicuramente nell’uso domestico mentre va valutata caso per caso l’ipotesi di un sistema di videosorveglianza di cortili e giardini qualora riprendano anche gli spazi esterni, dato che in tali situazioni si potrebbe ritenere applicabile il GDPR in base al controllo effettivamente operato nei confronti dei terzi, se, ad esempio, la telecamera riprende costantemente, per come è posizionata, anche le attività che si svolgono nel giardino del vicino di casa.

Dal punto di vista delle basi giuridiche del trattamento, la videosorveglianza può essere ritenuta lecita per diversi motivi, tra i quali il legittimo interesse del titolare ad effettuare le riprese per tutelare il proprio patrimonio o salvaguardare l’incolumità dei propri dipendenti sui luoghi di lavoro, l’esercizio di una funzione pubblica o la tutela di un interesse pubblico da parte delle Istituzioni o di concessionari di pubblico servizio, il consenso degli interessati nell’ipotesi di evento promozionale che prevede le riprese e la pubblicazione su Internet delle immagini rilevate dalle telecamere durante la festa.

Il provvedimento si dilunga su diversi esempi al fine di rappresentare con chiarezza le modalità di applicazione del criterio del legittimo interesse, sottolineando come “…ai sensi dell’articolo 21, il responsabile del trattamento può procedere alla videosorveglianza dell’interessato solo se si tratta di un interesse legittimo, convincente e che prevalga sugli interessi, i diritti e le libertà dell’interessato…”. 

Il legittimo interesse dev’essere una situazione di effettiva necessità, valutata alla luce dei danni o delle conseguenze che potrebbero derivare al titola del trattamento qualora non proceda all’installazione e all’utilizzo del sistema di videosorveglianza, restando invece escluse tutte le situazioni in cui la necessità appare solo fittizia o di comodo.

Ad esempio, l’apertura di un negozio e il timore di reati contro il patrimonio può giustificare l’installazione di un sistema di videosorveglianza ma l’indicazione dei motivi non può limitarsi a citare generiche statistiche sulla criminalità nazionale dovendosi invece propendere per l’analisi della situazione ambientale in cui il negozio dev’essere aperto

Anche l’apertura di un negozio intrinsecamente a rischio, come un’attività di compro oro o di gioielleria, può ovviamente legittimare l’installazione delle telecamere poichè a prescindere dalle statistiche vi è il fondato rischio che, senza tale deterrente, un malintenzionato potrebbe essere portato a commettere un reato anche in una zona precedentemente non considerata pericolosa.

Prima dell’installazione di un sistema di videosorveglianza, in ogni caso, il titolare del trattamento deve valutare criticamente ed analiticamente se non vi sono altre soluzioni alternative, come l’installazione di dispositivi di rilevazione delle armi (nel caso di banche e gioiellerie) o l’uso di strumenti di identificazione degli utenti e registrazione degli accessi (tramite varchi elettronici e badge magnetici). Solo ove ogni altra soluzione si riveli o si ipotizzi inefficace sarà possibile procedere all’uso delle telecamere

Preliminarmente, in ogni caso, il titolare dovrà valutare dove e quando sistemare le telecamere, limitandone l’uso alle ipotesi strettamente necessarie. 

Ad esempio, l’attivazione di un sistema di videosorveglianza al di fuori dell’orario di servizio dei dipendenti, in uno stabilimento industriale, soddisfa l’esigenza del titolare senza comprimere i diritti dei lavoratori ed è ugualmente efficace, rispettando anche il principio  di minimizzazione dei dati previsto dal Regolamento Europeo. 

Così come la tutela di un negozio in funzione antitaccheggio o antivandalismo può legittimare l’uso di telecamere che, tuttavia, non dovrebbero riprendere l’esterno delle vetrine e le aree circostanti, mentre di certo non è ipotizzabile l’installazione di telecamere nei bagni e negli antibagni di un locale commerciale, al fine di tutelare l’azienda da atti di vandalismo, perché l’interesse all’intimità degli avventori prevale su quello del titolare. 

Gli esempi proseguono ipotizzando l’installazione di una “dash cam” (una telecamera sul cruscotto) all’interno di un’autovettura, per poter dimostrare ragioni e torti in caso di incidente. Tale telecamera può essere collegata all’accensione del veicolo affinchè riprenda ciò che avviene durante la marcia ma non può essere lasciata attiva quando l’auto è in sosta, poichè in tal caso eseguirebbe un monitoraggio dell’ambiente circostanze, riprendendo i passanti. 

E quindi sempre necessario, come del resto prevedeva anche la precedente disciplina, procedere ad un bilanciamento degli interessi contrapposti del titolare e degli interessati, al fine di addivenire ad una soluzione che sia soddisfacente per entrambi o che, quantomeno, comporti la minor compressione dei diritti degli interessati.

(Segue sul prossimo articolo)

Lascia una risposta

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *